CVE-2026-2058: Injeção de SQL em postquerypublic.php no CloudClassroom-PHP-Project da mathurvishal

Visão geral

Foi relatada uma falha de injeção de SQL (CWE-89) no CloudClassroom-PHP-Project da mathurvishal. O problema afeta uma função não especificada em /postquerypublic.php, parte do componente Post Query Details Page, e o registro indica que pode ser explorado remotamente. A versão afetada registrada é a version 1.0. O registro também informa que o fornecedor não respondeu ao contato antecipado sobre a divulgação. Consulte a entrada da NVD e a entrada da VulDB.

Impacto

Uma injeção de SQL bem-sucedida pode permitir que um atacante leia ou altere dados do banco de dados do back-end. Esta é uma característica geral do CWE-89 e constitui uma inferência, não um resultado confirmado neste registro.
A NVD atribui pontuação base CVSS 3.1 de 9.8 (Crítica), com vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, indicando alto impacto em confidencialidade, integridade e disponibilidade.
A CNA (VulDB) lista pontuação CVSS 3.1 menor, de 7.3, para o mesmo problema.

Produtos e versões afetados

Produto: CloudClassroom-PHP-Project da mathurvishal (listado no registro como Vishalmathur Cloudclassroom-php-project).
Versão registrada: version 1.0.
A descrição se refere ao produto até o commit 5dadec098bfbbf3300d60c3494db3fb95b66e7be.
O projeto adota modelo de liberação contínua (rolling release), portanto as fontes não conseguem especificar as versões afetadas ou atualizadas exatas.

Status de exploração

Os dados da KEV da CISA no registro indicam que esta CVE não está listada. Nenhuma exploração ativa confirmada é mencionada nas fontes consultadas.
O registro afirma que um exploit foi publicado e pode ser utilizado, e referencia material de terceiros marcado como exploit. A disponibilidade pública de exploit torna a ação defensiva imediata mais importante.

Correção e mitigação

Nenhuma versão corrigida é listada no registro. Isso é desconhecido e não significa que não exista correção.
Restrinja o acesso à aplicação afetada, especialmente às páginas públicas de consulta, até que o código seja revisado.
Revise o tratamento da entrada gnamex e migre as consultas ao banco para instruções parametrizadas ou preparadas.
Se o projeto estiver implantado, considere substituí-lo por uma alternativa mantida ou removê-lo da exposição à internet.

Orientação de detecção

Analise os logs do servidor web e da aplicação em busca de requisições incomuns para /postquerypublic.php, especialmente com valores anormais no parâmetro gnamex.
Monitore erros de banco de dados e padrões de consulta inesperados originados da aplicação web.
Considere regras de firewall de aplicação web como controle compensatório temporário, testadas quanto a falsos positivos.

Limitações das informações disponíveis

O registro não confirma a faixa completa de versões afetadas, uma versão corrigida ou um patch do fornecedor.
Nenhum aviso oficial do fornecedor é citado no registro, e o fornecedor não respondeu à divulgação.
As pontuações CVSS da NVD e da CNA divergem; o registro não define qual reflete melhor um cenário específico.
Os dados da KEV não confirmam exploração na natureza.

Perguntas frequentes

A CVE-2026-2058 é explorada ativamente?

Os dados da KEV da CISA no registro não listam esta CVE e nenhuma exploração ativa confirmada aparece nas fontes consultadas. O registro afirma que um exploit público foi publicado, por isso o risco deve ser tratado com seriedade.

Existe correção para esta vulnerabilidade?

O registro não lista versão corrigida nem patch do fornecedor. Como o projeto adota modelo de liberação contínua e o fornecedor não respondeu, a disponibilidade de correção é desconhecida. Restringir o acesso e revisar o tratamento das consultas são as principais medidas defensivas indicadas pelo registro.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.